ঘোস্টস্ক্রিপ্টে পরবর্তী 4টি দুর্বলতা

দুই সপ্তাহ পর সনাক্তকরণ মধ্যে অতীত সমালোচনামূলক সমস্যা প্রস্তুতকারী Ghostscript চিহ্নিত আরও 4টি অনুরূপ দুর্বলতা (CVE-2019-14811, CVE-2019-14812, CVE-2019-14813, CVE-2019-14817), যা "-dSAFER" বিচ্ছিন্নতা মোডকে বাইপাস করার জন্য ".forceput" এর সাথে একটি লিঙ্ক তৈরি করার অনুমতি দেয় . বিশেষভাবে ডিজাইন করা নথিগুলি প্রক্রিয়া করার সময়, একজন আক্রমণকারী ফাইল সিস্টেমের বিষয়বস্তুতে অ্যাক্সেস পেতে পারে এবং সিস্টেমে নির্বিচারে কোড চালাতে পারে (উদাহরণস্বরূপ, ~/.bashrc বা ~/. প্রোফাইলে কমান্ড যোগ করে)। ফিক্স প্যাচ হিসাবে উপলব্ধ (1, 2) আপনি এই পৃষ্ঠাগুলিতে বিতরণে প্যাকেজ আপডেটের উপলব্ধতা ট্র্যাক করতে পারেন: ডেবিয়ান, ফেডোরা, উবুন্টু, SUSE/openSUSE, RHEL, খিলান, রোসাঃ, FreeBSD 'র.

মনে রাখবেন যে ঘোস্টস্ক্রিপ্টের দুর্বলতাগুলি একটি বর্ধিত ঝুঁকি তৈরি করে, যেহেতু এই প্যাকেজটি পোস্টস্ক্রিপ্ট এবং পিডিএফ ফর্ম্যাট প্রক্রিয়াকরণের জন্য অনেক জনপ্রিয় অ্যাপ্লিকেশনগুলিতে ব্যবহৃত হয়। উদাহরণস্বরূপ, ডেস্কটপ থাম্বনেইল তৈরি করার সময়, ব্যাকগ্রাউন্ডে ডেটা ইন্ডেক্স করার সময় এবং ছবি রূপান্তর করার সময় ঘোস্টস্ক্রিপ্ট বলা হয়। একটি সফল আক্রমণের জন্য, অনেক ক্ষেত্রে, শুধুমাত্র এক্সপ্লয়েট ফাইলটি ডাউনলোড করা বা নটিলাসে এটির সাথে ডিরেক্টরি ব্রাউজ করা যথেষ্ট। ঘোস্টস্ক্রিপ্টের দুর্বলতাগুলিকে ImageMagick এবং GraphicsMagick প্যাকেজগুলির উপর ভিত্তি করে একটি JPEG বা PNG ফাইল পাস করার মাধ্যমে ইমেজ প্রসেসরের মাধ্যমেও কাজে লাগানো যেতে পারে যাতে একটি ছবির পরিবর্তে পোস্টস্ক্রিপ্ট কোড থাকে (এই ধরনের ফাইল ঘোস্টস্ক্রিপ্টে প্রক্রিয়া করা হবে, যেহেতু MIME প্রকারটি স্বীকৃত। বিষয়বস্তু, এবং এক্সটেনশনের উপর নির্ভর না করে)।

উত্স: opennet.ru